MCP 权限不足怎么办？
遇到 MCP permission required 时，区分 MaskPilot 账号权限、登录状态、访问令牌和目标资源权限，恢复被拒绝的本地 AI 自动化调用。
更新于 2026年9月7日MCP permission required 表示 MaskPilot 在检查当前登录账号时，没有得到允许使用 AI 自动化的权限。它不是工具名称错误，也不等于 Bearer Token 已失效。先确认错误发生在哪一层，再处理权限。
先区分常见错误
| 现象 | 所在环节 | 优先处理 |
|---|---|---|
connection refused | 调用方无法连接本地服务 | 检查客户端、MCP 开关和本机地址 |
401 或 invalid mcp token | 服务已收到请求，但访问令牌不匹配 | 更新调用方保存的当前 Token |
Unknown tool | 当前客户端没有提供该工具名 | 重新获取工具列表 |
MCP permission required | 当前账号没有 AI 自动化权限 | 检查账号和团队成员权限 |
MCP account mismatch | MCP 原先绑定的账号与当前登录账号不同 | 用当前账号重新开启并更新连接配置 |
如果健康检查或本地地址都不可用，应先使用MCP 本地连接排查步骤。不要通过反复重置 Token 来处理明确的权限拒绝。
按顺序恢复权限
- 回到 MaskPilot，确认客户端仍处于登录状态，并核对当前登录的是哪个账号。
- 如果当前账号是团队成员，请团队所有者检查该成员是否允许使用 AI 自动化。
- 同时确认成员能够访问目标浏览器账号，并拥有本次操作需要的权限。能看到 MCP 工具列表不代表能够操作所有目标资源。
- 权限调整后刷新 MaskPilot 的 MCP 页面，确认状态恢复为可连接。
- 让调用方重新加载 MCP 连接和工具列表，再先执行一个当前列表中的只读查询。
- 在 MaskPilot 最近调用记录中确认工具名、时间、成功或失败状态，不要提交包含 Token 或业务数据的完整日志。
权限检查与连接配置的边界见管理 AI 助手权限与令牌。
切换账号后需要重新绑定
MaskPilot 的本地 MCP 配置归属于开启它的账号。切换到另一个账号后，旧账号的连接不会自动获得新账号权限；即使两个账号都允许使用 AI 自动化，也必须由当前账号重新开启 MCP。
账号发生变化时，MaskPilot 会为新的账号生成不同的连接密钥。随后需要：
- 从当前账号的 MCP 页面复制新的 Token。
- 更新调用方引用的环境变量或安全凭据配置。
- 完全重新加载调用方，避免旧进程继续使用缓存 Token。
- 重新连接并获取当前客户端实际提供的工具列表。
旧 Token 此时不能继续使用。若调用方改为提示令牌无效，请转到MCP 无效令牌处理步骤。
权限被收回时会发生什么
MaskPilot 会在工具执行前再次核对当前账号和 AI 自动化权限。成员权限被收回、账号发生变化或登录失效时，本次业务操作不会继续执行，本地 MCP 入口也会停止接受原连接。
因此，调用方最初可能记录 MCP permission required，随后显示离线、连接失败或未授权。这些现象可能来自同一次权限变化，不应分别通过暴露本地端口、共享所有者 Token 或修改请求来绕过。
重新授权后，应由同一名成员在自己的客户端中恢复连接。不要把其他成员或所有者的 Token 复制给被拒绝的账号。
验证已经恢复
同时满足以下条件，才算恢复完成：
- MaskPilot MCP 页面显示当前账号可连接。
- 调用方重新获取了工具列表，而不是使用旧会话缓存。
- 一个只读工具调用成功，并出现在最近调用记录中。
- 对目标账号的操作仍符合该成员的账号可见范围和功能权限。
如果调用方返回的名称不在当前工具列表中，请按MCP 未知工具排查处理，不要继续扩大成员权限。
MCP 官方授权规范同样区分无效身份凭据和权限不足，并要求客户端遵循最小权限原则。MaskPilot 使用本机连接和当前账号权限执行自己的校验；外部服务的 OAuth 授权步骤不能替代 MaskPilot 团队权限。